Violation de données chez Chord Specialty Dental Partners en 2024

L’avis officiel de Chord, daté du 14 mars 2025, précise la date de découverte, la période d’accès, le système concerné et les catégories de données. Il indique aussi explicitement que CDHA Management, LLC et Spark DSO, LLC exercent leurs activités sous le nom de Chord Specialty Dental Partners.

La fiche du HHS OCR mentionne les mêmes dénominations sociales, la même date d’avis et le même total de 173 430 personnes. Elle classe l’événement comme un incident de piratage ou un incident informatique impliquant la messagerie. Une fiche d’incident indépendante concorde également avec la période d’accès, le nombre de personnes concernées et les catégories d’informations mentionnées.

Vers le 11 septembre 2024, Chord a découvert une activité suspecte liée au compte de messagerie d’un employé. L’organisation a sécurisé le compte et fait appel à des spécialistes externes pour déterminer la nature et l’étendue de l’incident, ainsi que l’existence éventuelle d’autres activités.

L’enquête a établi qu’une personne non autorisée avait accédé à plusieurs comptes pendant des périodes limitées entre le 19 août et le 25 septembre. L’avis officiel ne précise ni la méthode d’accès initiale, ni une éventuelle vulnérabilité technique, ni l’identité de l’auteur. Cette fiche ne présente donc pas l’événement comme un cas d’hameçonnage, une attaque par rançongiciel ou l’œuvre d’un groupe identifié.

Selon l’avis officiel, les données concernées variaient d’une personne à l’autre et pouvaient comprendre un nom accompagné d’une adresse, d’un numéro de sécurité sociale, d’informations sur le permis de conduire, d’informations sur un compte bancaire, d’informations sur une carte de paiement, d’une date de naissance, d’informations médicales ou d’informations sur l’assurance maladie.

Il ne faut pas supposer que cette liste complète s’applique à chacune des 173 430 personnes. Chord n’a pas confirmé que des informations avaient été récupérées dans les comptes et a déclaré n’avoir connaissance d’aucun élément indiquant une utilisation abusive de ces informations. L’organisation ne pouvait toutefois pas exclure que la personne non autorisée y ait accédé.

Les noms, adresses, dates de naissance et identifiants délivrés par les autorités peuvent être combinés pour usurper une identité, ouvrir des comptes frauduleusement ou formuler des demandes de vérification d’identité convaincantes. Le fait qu’un interlocuteur ou un expéditeur inattendu connaisse un détail personnel exact ne prouve pas que la communication est légitime.

Les informations sur les comptes bancaires et les cartes de paiement peuvent accroître le risque de transactions non autorisées. Les informations médicales et d’assurance maladie peuvent servir à présenter des demandes de remboursement frauduleuses, à usurper l’identité de prestataires de soins ou à mener des escroqueries ciblées. Il est donc important de vérifier régulièrement les relevés financiers et les dossiers de santé.

Chord indique avoir sécurisé le compte concerné, mené un examen approfondi avec des spécialistes externes en cybersécurité et analysé les informations stockées dans les comptes afin d’identifier les personnes touchées. L’organisation a également réexaminé ses mesures de sécurité et dispensé une formation complémentaire à ses employés.

Des notifications ont été envoyées aux personnes dont l’adresse était disponible, et des services de surveillance du crédit et de protection de l’identité ont été proposés aux personnes admissibles. La distinction est importante : l’avis décrit un accès possible aux données, sans affirmer qu’une récupération des données ou une utilisation frauduleuse a été confirmée.

Si vous avez reçu une notification, vérifiez les opérations sur vos comptes bancaires et vos cartes pour repérer les transactions que vous ne reconnaissez pas, consultez vos rapports de crédit et envisagez un gel du crédit ou une alerte à la fraude lorsque cela est approprié. Signalez toute activité suspecte directement à l’établissement financier concerné et aux autorités.

Vérifiez directement auprès du prestataire de soins ou de l’assureur toute mention inattendue dans vos dossiers médicaux, vos relevés d’assurance maladie ou les demandes de paiement que vous recevez. Ne communiquez pas de numéro de sécurité sociale, d’informations relatives à une carte de paiement, de mot de passe ou de code de vérification à usage unique en réponse à un courriel, un appel ou un message inattendu.